Glossario

> Disclaimer: Questo contenuto è destinato esclusivamente a fini educativi e di riferimento per i costruttori di software. Non costituisce consulenza medica, legale, finanziaria o normativa. Consultare un professionista qualificato prima di prendere decisioni basate su questo contenuto.

Dato Personale

Qualsiasi informazione riguardante una persona fisica identificata o identificabile (l'"interessato"). L'identificabilità può essere diretta (nome, numero di identificazione) o indiretta (dati di localizzazione, identificativi online, elementi relativi all'identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale). I dati pseudonimizzati restano dati personali se la re-identificazione è ragionevolmente possibile. (GDPR Art. 4(1), EUR-Lex 2016/679)

Interessato

La persona fisica i cui dati personali sono trattati. Gli interessati esercitano i diritti definiti nel Capo III del GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e diritti relativi alle decisioni automatizzate. I costruttori devono implementare meccanismi tecnici per ricevere, autenticare e soddisfare tali richieste entro i termini normativi. (GDPR Art. 4(1), EUR-Lex 2016/679)

Titolare del Trattamento

La persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali. Nelle architetture SaaS, l'azienda cliente è tipicamente il titolare; il fornitore SaaS è il responsabile. Il titolare porta la responsabilità primaria di conformità. (GDPR Art. 4(7), EUR-Lex 2016/679)

Responsabile del Trattamento

Una persona fisica o giuridica che tratta dati personali per conto del titolare del trattamento. Fornitori cloud, piattaforme di analytics ed email delivery service sono responsabili comuni. Il titolare deve vincolare il responsabile mediante un Data Processing Agreement (DPA) che specifica oggetto, durata, natura e finalità del trattamento, categorie di dati e obbligazioni. (GDPR Art. 4(8), EUR-Lex 2016/679)

Sub-Responsabile del Trattamento

Un terzo incaricato dal responsabile per svolgere specifiche attività di trattamento per conto del titolare. Il responsabile deve informare il titolare di eventuali modifiche ai sub-responsabili e permettere al titolare di opporsi. I DPA devono includere una clausola che trasferisce le obbligazioni ai sub-responsabili. (GDPR Art. 28(2), EUR-Lex 2016/679)

Trattamento

Qualsiasi operazione o insieme di operazioni, eseguite con o senza l'ausilio di processi automatizzati, su dati personali: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, uso, comunicazione, diffusione, allineamento, combinazione, limitazione, cancellazione o distruzione. I costruttori devono documentare la base giuridica per ogni operazione di trattamento. (GDPR Art. 4(2), EUR-Lex 2016/679)

Base Giuridica

Uno dei sei fondamenti legali che devono esistere prima che i dati personali possano essere trattati: consenso, esecuzione di un contratto, obbligo legale, interessi vitali, compito di interesse pubblico, o interessi legittimi. I titolari devono identificare e documentare la base giuridica per ogni distinta attività di trattamento prima di iniziare il trattamento. (GDPR Art. 6(1), EUR-Lex 2016/679)

Consenso

Manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale questi accetta il trattamento dei propri dati personali. Il consenso deve essere distinguibile da altre questioni, espresso in linguaggio chiaro e accessibile, e deve essere altrettanto facile revocarlo quanto prestarlo. Le caselle pre-selezionate non costituiscono consenso. (GDPR Art. 4(11), EUR-Lex 2016/679)

Categorie Particolari di Dati

Dati che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale; dati genetici; dati biometrici trattati per identificazione univoca; dati sanitari; dati relativi alla vita sessuale o all'orientamento sessuale. Il trattamento è vietato salvo non si applichi un'eccezione specifica dell'Art. 9(2). I costruttori devono implementare misure tecniche e organizzative rafforzate per questa categoria. (GDPR Art. 9(1), EUR-Lex 2016/679)

Privacy by Design e by Default

L'obbligo di implementare misure tecniche e organizzative appropriate - sia al momento della definizione dei mezzi del trattamento che durante il trattamento stesso - per garantire che i principi di protezione dei dati siano integrati nelle attività di trattamento. "By default" significa che per impostazione predefinita vengono trattati solo i dati necessari per la specifica finalità. (GDPR Art. 25, EUR-Lex 2016/679)

Responsabile della Protezione dei Dati (RPD / DPO)

Una persona designata responsabile di informare e consigliare il titolare o il responsabile sui loro obblighi GDPR, monitorare la conformità, fornire consulenza sui DPIA, collaborare con l'autorità di vigilanza, e fungere da punto di contatto. Obbligatorio per enti pubblici e organizzazioni le cui attività principali implicano il monitoraggio sistematico su larga scala o il trattamento su larga scala di categorie particolari di dati. (GDPR Art. 37, EUR-Lex 2016/679)

Valutazione d'Impatto sulla Protezione dei Dati (DPIA)

Un processo sistematico per identificare e minimizzare i rischi per la privacy derivanti da attività di trattamento che potrebbero comportare un rischio elevato per le persone fisiche. Obbligatorio prima di avviare trattamenti che utilizzino nuove tecnologie, trattamento su larga scala di categorie particolari, monitoraggio sistematico di aree accessibili al pubblico, o quando previsto dalla lista obbligatoria dell'autorità di vigilanza. (GDPR Art. 35, EUR-Lex 2016/679)

Registro dei Trattamenti (RoPA)

Registrazioni scritte che i titolari (con ≥250 dipendenti, o il cui trattamento non è occasionale, pone rischi elevati o riguarda categorie particolari) devono mantenere descrivendo: identità del titolare, finalità del trattamento, categorie di interessati e di dati, categorie di destinatari, trasferimenti, periodi di conservazione, e misure tecniche e organizzative. (GDPR Art. 30, EUR-Lex 2016/679)

Violazione dei Dati Personali

Un incidente di sicurezza che porta alla distruzione accidentale o illegale, alla perdita, alla modifica, alla divulgazione non autorizzata o all'accesso non autorizzato ai dati personali. Le violazioni devono essere valutate per rischio; quelle che comportano danni probabili devono essere notificate all'autorità di vigilanza entro 72 ore dalla conoscenza; quelle ad alto rischio per le persone fisiche devono essere comunicate anche agli interessati. (GDPR Art. 4(12), EUR-Lex 2016/679)

Autorità di Vigilanza

Un'autorità pubblica indipendente istituita da ogni stato membro dell'UE per monitorare l'applicazione del GDPR, gestire i reclami, condurre indagini ed emettere misure correttive incluse le sanzioni. Nei casi transfrontalieri, si applica il meccanismo One-Stop-Shop con l'autorità di vigilanza capofila. (GDPR Art. 4(21), EUR-Lex 2016/679)

Richiesta di Accesso dell'Interessato (DSAR / SAR)

Una richiesta formale da parte di un interessato per ottenere conferma circa il trattamento di dati personali che lo riguardano, e in caso affermativo, una copia di tali dati con informazioni supplementari. I titolari devono rispondere senza ingiustificato ritardo e al più tardi entro un mese, con una possibile proroga di due mesi per richieste complesse o numerose. (GDPR Art. 15, EUR-Lex 2016/679)

Diritto alla Cancellazione (Diritto all'Oblio)

Il diritto dell'interessato di ottenere la cancellazione dei propri dati personali senza ingiustificato ritardo quando i dati non sono più necessari, il consenso è revocato, i dati sono stati trattati illecitamente, o un obbligo legale impone la cancellazione. Deve essere bilanciato con blocchi legali, libertà di espressione e altri legittimi motivi di conservazione. (GDPR Art. 17, EUR-Lex 2016/679)

Diritto alla Portabilità

Il diritto dell'interessato di ricevere i propri dati personali forniti a un titolare in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare senza impedimenti. Si applica quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati. (GDPR Art. 20, EUR-Lex 2016/679)

Diritto di Limitazione

Il diritto dell'interessato di ottenere la limitazione del trattamento in specifiche circostanze: accuratezza contestata in attesa di verifica, trattamento illecito dove il soggetto si oppone alla cancellazione, dati non più necessari al titolare ma richiesti dal soggetto per rivendicazioni legali, o opposizione in attesa di verifica dei motivi legittimi. (GDPR Art. 18, EUR-Lex 2016/679)

Pseudonimizzazione

Il trattamento dei dati personali in modo tale che non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, conservate separatamente con misure tecniche e organizzative che garantiscano la non-attribuzione. I dati pseudonimizzati rimangono dati personali ma beneficiano di requisiti allentati in alcune aree. (GDPR Art. 4(5), EUR-Lex 2016/679)

Anonimizzazione

La rimozione irreversibile delle informazioni identificative tale da rendere la re-identificazione ragionevolmente impossibile considerando tutti i mezzi che potrebbero essere utilizzati. I dati effettivamente anonimizzati non rientrano nel campo di applicazione del GDPR. I costruttori devono valutare se l'anonimizzazione sia genuina dati gli attacchi di re-identificazione moderni. (GDPR Considerando 26, EUR-Lex 2016/679)

Minimizzazione dei Dati

Il principio secondo cui i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. I costruttori devono progettare moduli di raccolta dati, payload API e schemi di archiviazione per acquisire solo i campi minimi richiesti, resistendo ai pattern "raccogli ora, decidi dopo". (GDPR Art. 5(1)(c), EUR-Lex 2016/679)

Limitazione della Finalità

Il principio secondo cui i dati personali devono essere raccolti per finalità determinate, esplicite e legittime e non ulteriormente trattati in modo incompatibile con tali finalità. L'uso a valle dei dati raccolti (analytics, marketing, addestramento ML) deve essere compatibile con la finalità originale o basarsi su una base giuridica separata. (GDPR Art. 5(1)(b), EUR-Lex 2016/679)

Limitazione della Conservazione

Il principio secondo cui i dati personali devono essere conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità. I sistemi devono implementare pianificazioni automatizzate di conservazione ed eliminazione collegate ai periodi di conservazione documentati per ogni categoria di dati. (GDPR Art. 5(1)(e), EUR-Lex 2016/679)

Principio di Esattezza

I dati personali devono essere esatti e, se necessario, aggiornati; i dati inesatti devono essere cancellati o rettificati senza ritardo. I costruttori devono fornire meccanismi agli interessati per aggiornare i propri dati e propagare le correzioni alle copie a valle (cache, repliche, backup). (GDPR Art. 5(1)(d), EUR-Lex 2016/679)

Integrità e Riservatezza (Principio di Sicurezza)

I dati personali devono essere trattati in modo da garantire un'adeguata sicurezza dei dati personali, compresa la protezione mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentali. (GDPR Art. 5(1)(f), EUR-Lex 2016/679)

Principio di Responsabilizzazione (Accountability)

Il titolare è responsabile del rispetto di tutti i principi GDPR e deve essere in grado di dimostrarlo. Le implementazioni tecniche dell'accountability includono il mantenimento di RoPA, DPIA, registri dei consensi con audit trail, documentazione di nomina del DPO, accordi con i responsabili e registri delle violazioni. (GDPR Art. 5(2), EUR-Lex 2016/679)

Profilazione

Qualsiasi forma di trattamento automatizzato di dati personali volta a valutare aspetti personali, in particolare ad analizzare o prevedere aspetti riguardanti il rendimento lavorativo, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di una persona fisica. La profilazione utilizzata per decisioni con effetti legali richiede garanzie specifiche. (GDPR Art. 4(4), EUR-Lex 2016/679)

Processo Decisionale Automatizzato

Il trattamento che produce decisioni basate esclusivamente su trattamento automatizzato, inclusa la profilazione, che ha effetti significativi sulle persone. Gli interessati hanno il diritto di non essere sottoposti a tali decisioni salvo consenso esplicito, esecuzione di un contratto, o autorizzazione di legge. I titolari devono implementare meccanismi di revisione umana su richiesta. (GDPR Art. 22, EUR-Lex 2016/679)

Interessi Legittimi

Una base giuridica per il trattamento in cui il titolare o un terzo ha un interesse genuino e legittimo e il trattamento è necessario per tale interesse, a condizione che non prevalga sugli interessi o i diritti dell'interessato. I costruttori devono documentare una Valutazione degli Interessi Legittimi (LIA) prima di fare affidamento su questa base. (GDPR Art. 6(1)(f), EUR-Lex 2016/679)

Accordo di Elaborazione dei Dati (DPA)

Un contratto obbligatorio tra titolare e responsabile del trattamento che disciplina il modo in cui il responsabile gestisce i dati personali per conto del titolare. Deve specificare: oggetto e durata del trattamento, natura e finalità, tipo di dati personali e categorie di interessati, obblighi e diritti del titolare. (GDPR Art. 28(3), EUR-Lex 2016/679)

Clausole Contrattuali Standard (SCC)

Clausole modello approvate dalla Commissione per il trasferimento di dati personali verso paesi terzi privi di una decisione di adeguatezza. Le SCC aggiornate (2021) coprono scenari C2C, C2P, P2P e P2C. I costruttori devono scegliere il modulo corretto in base alla natura del trasferimento e possono dover condurre una Transfer Impact Assessment. (GDPR Art. 46(2)(c), EUR-Lex 2016/679)

Decisione di Adeguatezza

Una decisione della Commissione europea che constata che un paese terzo, un territorio, un settore o un'organizzazione internazionale garantisce un livello adeguato di protezione dei dati equivalente a quello UE. I dati personali possono fluire verso paesi adeguati senza ulteriori garanzie. (GDPR Art. 45, EUR-Lex 2016/679)

Norme Vincolanti d'Impresa (BCR)

Politiche di protezione dei dati personali approvate da un'autorità di vigilanza competente per trasferimenti di dati all'interno dello stesso gruppo aziendale verso paesi terzi. Richiedono l'approvazione dell'autorità di vigilanza e sono tipicamente utilizzate da grandi multinazionali. (GDPR Art. 46(2)(b), EUR-Lex 2016/679)

Piattaforma di Gestione del Consenso (CMP)

Infrastruttura tecnica per la raccolta, registrazione e gestione dei segnali di consenso degli utenti. I costruttori che implementano CMP devono garantire: segnali di consenso granulari per finalità, registri di consenso immutabili con timestamp, meccanismi di revoca e propagazione dello stato del consenso ai sistemi di trattamento a valle.

Registro delle Violazioni

Un log interno di tutte le violazioni dei dati personali, indipendentemente dal fatto che raggiungano la soglia di notifica all'autorità di vigilanza. Deve registrare: descrizione della violazione, effetti e azione correttiva intrapresa. Consente analisi delle tendenze post-incidente e dimostra conformità agli obblighi di accountability. (GDPR Art. 33(5), EUR-Lex 2016/679)

Piano di Conservazione

Una politica documentata che definisce il periodo di conservazione di ogni categoria di dati personali, la giustificazione legale di tale periodo, e l'azione di smaltimento alla scadenza (cancellazione, anonimizzazione, archiviazione). Deve essere rivisto periodicamente e implementato tramite flussi di lavoro automatizzati di cancellazione o flagging nei sistemi di produzione.

Diritto di Opposizione

Il diritto dell'interessato di opporsi, per motivi connessi alla sua situazione particolare, in qualsiasi momento al trattamento basato su interessi legittimi o su un compito di interesse pubblico, inclusa la profilazione. Il titolare deve cessare il trattamento a meno che non dimostri motivi legittimi cogenti che prevalgono sugli interessi del soggetto. Per il marketing diretto, il diritto di opposizione è assoluto. (GDPR Art. 21, EUR-Lex 2016/679)

Valutazione dell'Impatto del Trasferimento (TIA)

Una valutazione obbligatoria quando si trasferiscono dati personali verso un paese terzo mediante SCC, BCR o altre garanzie adeguate, che verifica se il quadro giuridico del paese di destinazione possa impedire all'importatore di dati di adempiere i propri obblighi contrattuali. Diventata obbligatoria a seguito della sentenza Schrems II della CGUE.

Contitolari del Trattamento

Due o più titolari che determinano congiuntamente le finalità e i mezzi del trattamento. Devono stabilire in modo trasparente le rispettive responsabilità nell'adempimento degli obblighi GDPR. L'essenza dell'accordo deve essere resa accessibile agli interessati. (GDPR Art. 26, EUR-Lex 2016/679)

Cascata di Cancellazione

Il processo tecnico di propagazione di una richiesta di cancellazione attraverso tutti i sistemi che contengono i dati dell'interessato: database primario, backup, cache, copie CDN edge, indici di ricerca, dataset di analytics e dati condivisi con responsabili. I costruttori devono progettare i flussi di dati per consentire una propagazione della cancellazione tracciabile e completa.

Sigillo di Protezione dei Dati

Un meccanismo di certificazione per dimostrare la conformità al GDPR. Sigilli e marchi vengono rilasciati da organismi di certificazione accreditati per un massimo di tre anni e possono essere rinnovati. Non riducono la responsabilità del titolare o del responsabile per la conformità, ma costituiscono prova di adeguate misure tecniche e organizzative. (GDPR Art. 42, EUR-Lex 2016/679)

Trattamento Sensibile

Il trattamento di dati di categorie particolari o dati relativi a condanne penali e reati, soggetto a norme più rigorose rispetto ai dati personali standard. I costruttori devono implementare garanzie aggiuntive: consenso esplicito (Art. 9(2)(a)), necessità per cure sanitarie (Art. 9(2)(h)), obblighi di diritto del lavoro (Art. 9(2)(b)) e altri. Il controllo degli accessi deve essere limitato ai ruoli.

Autorità Capofila di Vigilanza

Nei casi di trattamento transfrontaliero, l'autorità di vigilanza dello stabilimento principale del titolare o del responsabile, che agisce come autorità capofila attraverso il meccanismo One-Stop-Shop. Le altre autorità di vigilanza interessate possono sollevare obiezioni; le controversie irrisolte vengono rimesse all'European Data Protection Board. (GDPR Art. 56, EUR-Lex 2016/679)

Trasparenza

L'obbligo di fornire agli interessati informazioni chiare, concise, trasparenti e comprensibili sul trattamento al momento della raccolta dei dati o del primo contatto. Le informative sulla privacy devono essere stratificate (formato breve/lungo), utilizzare un linguaggio accessibile e coprire tutti gli elementi richiesti dagli Art. 13/14. (GDPR Art. 5(1)(a), EUR-Lex 2016/679)